[딜사이트 박관훈 기자] 카카오페이와 토스(비바리퍼블리카)가 최근 5년간 정보보호에 투입하는 돈과 사람을 꾸준히 늘린 것으로 나타났다. 지난해 정보보호 투자액은 비바리퍼블리카가 카카오페이보다 많았지만, IT투자 대비 비중과 전담인력은 카카오페이가 앞섰다. 결제사업만 떼어놓고 보면 격차는 더 벌어진다. 카카오페이의 정보보호 투자액은 토스의 PG 계열사인 토스페이먼츠의 3배를 웃돌았다.

투자 확대와 별개로 실제 데이터와 결제 접점을 관리하는 내부통제의 중요성도 커지고 있다. 최근 카카오페이와 비바리퍼블리카 모두 개인정보·개인신용정보 처리 문제로 당국 제재를 받았고, 토스페이먼츠에서는 이달 가맹점의 결제연동 인증정보가 노출되는 사고가 발생했다. 결제 영역이 PG와 가맹점, 오프라인 단말기 등으로 넓어지면서 투자 규모뿐 아니라 늘어난 외부 접점까지 통제할 수 있는 관리체계를 갖췄는지가 정보보호 역량을 가르는 잣대로 떠오르고 있다.

1일 각 사 정보보호 공시에 따르면 카카오페이의 정보보호 투자액은 2021년 34억5000만원에서 지난해 140억9000만원으로 약 4.1배 늘었다. 같은 기간 IT 투자 대비 정보보호 투자 비중은 7.1%에서 12.3%, 전담인력은 30.6명에서 57.4명으로 증가했다. 지난해 IT 투자액은 1141억8000만원으로 이 중 정보보호 투자 비중은 12.3%였다.

비바리퍼블리카도 정보보호 투자액이 2021년 90억4000만원에서 지난해 192억5000만원으로 약 2.1배 증가했다. 투자액 자체는 카카오페이보다 많았다. 반면 IT 투자액이 같은 기간 522억6000만원에서 1943억4000만원으로 더 빠르게 늘면서 정보보호 투자 비중은 17.3%에서 9.9%로 낮아졌다. 전담인력은 26.9명에서 49.5명으로 늘었다.

다만 비바리퍼블리카의 192억5000만원을 카카오페이와 그대로 맞대기는 어렵다. 토스의 결제사업이 여러 법인으로 나뉘어 있기 때문이다. 온라인 PG는 토스페이먼츠, 오프라인 단말기·POS는 토스플레이스가 각각 맡고 있으며 두 회사는 비바리퍼블리카와 별도로 정보보호 현황을 공시한다. 네이버페이를 운영하는 네이버파이낸셜은 별도 정보보호 공시를 하지 않아 이번 비교에서는 제외했다.

결제사업을 중심으로 비교하면 카카오페이의 상대축은 비바리퍼블리카보다 토스페이먼츠에 가깝다. 토스페이먼츠는 LG유플러스 전자결제 사업부문에서 분할돼 설립된 PG 사업자다. 지난해 별도 영업수익은 토스페이먼츠가 9251억원, 카카오페이가 6852억원이다. 카카오페이가 간편결제와 PG 외에도 다양한 금융서비스를 함께 영위한다는 차이는 있지만, 토스 본체보다는 결제사업을 중심으로 한 비교가 가능하다.

지난해 정보보호 투자액은 카카오페이가 140억9000만원, 토스페이먼츠가 44억4000만원으로 카카오페이가 약 3.2배 많았다. 정보보호 투자 규모의 차이는 컸지만 전체 IT 투자까지 감안하면 격차는 크게 좁아졌다. IT 투자 대비 정보보호 투자 비중은 카카오페이 12.3%, 토스페이먼츠 10.8%였다.

인력에서는 다른 양상이 나타났다. 전담인력은 카카오페이가 57.4명으로 토스페이먼츠의 19명보다 3배가량 많았다. 반면 전체 IT인력에서 정보보호 전담인력이 차지하는 비중은 토스페이먼츠가 11.7%로 카카오페이(8.0%)를 웃돌았다. 절대적인 투자액과 인력 규모는 카카오페이가 컸지만, IT 조직 내 정보보호 인력 비중은 토스페이먼츠가 더 높은 셈이다.

최근 5년간 투자 확대 속도에서도 차이가 났다. 2021년 카카오페이의 정보보호 투자액은 34억5000만원, 토스페이먼츠는 31억5000만원으로 비슷했다. 당시 IT 투자 대비 정보보호 투자 비중은 오히려 토스페이먼츠가 9.4%로 카카오페이(7.1%)보다 높았다. 이후 카카오페이가 정보보호 투자를 빠르게 늘리면서 지난해에는 두 회사의 투자액 격차가 100억원 가까이 벌어졌다.

토스페이먼츠는 인력을 늘리는 과정에서 외주보다 내부 전담인력을 확충하는 데 무게를 뒀다. 2021년 전담인력 10.2명 가운데 외주인력이 4.9명이었지만 지난해에는 19명 가운데 1명으로 줄었다. 카카오페이는 같은 기간 외주인력이 10.7명에서 18.4명으로 늘었다. 두 회사가 서로 다른 방식으로 보안 조직을 확대한 셈이다. 공시만으로 외주인력이 맡는 업무와 권한, 전문성까지 비교하기는 어렵다.

토스의 오프라인 결제사업까지 범위를 넓히면 별도의 보안투자가 추가된다. 토스플레이스는 지난해 정보보호에 11억9000만원을 투자했다. IT 투자 대비 비중은 6.5%, 전담인력은 3.3명이다. 토스의 결제 인프라가 비바리퍼블리카와 토스페이먼츠, 토스플레이스 등 여러 법인에 걸쳐 있는 만큼 각 법인의 사업영역과 투자 규모를 함께 볼 필요가 있다.

정보보호 책임자의 구성에서도 차이가 있다. 카카오페이는 지난해 최고정보보호책임자(CISO)를 실장급 임원으로 두고 다른 직무를 겸직하지 않고 있다. 개인정보보호책임자(CPO)는 부문장급 임원으로 다른 업무를 겸직하고 있다. 토스페이먼츠는 CISO와 CPO를 모두 이사급 임원으로 지정했으며 CISO와 CPO 역할을 상호 겸직하는 구조다.

투자와 인력이 늘어나는 동안 실제 정보 처리와 외부 결제 접점에서는 통제 문제가 잇따라 불거졌다. 카카오페이는 2018년부터 2024년 5월까지 4045만명의 개인신용정보 542억건을 알리페이에 제공한 사안으로 제재를 받았다. 개인정보보호위원회와 금융감독원이 부과한 과징금은 모두 189억원이다. 카카오페이는 적법한 위·수탁이었다며 소송을 냈지만 지난 6월 1심에서 패소해 항소했다.

비바리퍼블리카는 거래정보 2928만건을 동의 없이 결합해 이용한 사실 등이 드러나 2024년 10월 과징금과 과태료 60억원을 부과받았다. 개인신용정보 조회권한과 접속기록 관리 등 내부 정보통제에서도 문제점이 지적됐다. 카카오페이와 비바리퍼블리카의 제재는 외부 해킹보다 개인정보·개인신용정보를 처리하고 통제하는 과정에서 발생했다는 공통점이 있다.

토스페이먼츠에서는 외부 결제 접점의 관리 문제가 불거졌다. 이달 토스페이먼츠 가맹점 1곳에서 결제연동 인증정보가 노출됐고, 이를 이용한 제3자가 결제내역 4131건(2671명)을 조회했다. 금감원은 현재 현장검사를 진행하고 있다. 토스페이먼츠 자체 시스템 침해가 아닌 가맹점에서 인증정보가 노출된 사고지만, PG 사업자가 연결하는 외부 가맹점까지 정보보호 관리 범위가 넓어지고 있다는 점을 보여준다.

카카오페이와 토스가 정보보호에 투입하는 돈과 사람을 늘리는 사이 결제사업의 범위도 빠르게 확대됐다. 관리해야 할 대상 역시 내부 시스템을 넘어 PG와 가맹점, 외부 사업자, 오프라인 단말기까지 넓어졌다. 정보보호 투자 규모 경쟁을 넘어 확대된 결제망에서 데이터와 접근권한을 얼마나 촘촘하게 통제하느냐가 중요해진 이유다.

전자금융업계 관계자는 “카카오페이와 토스 등 결제 플랫폼이 PG와 가맹점, 오프라인 단말기까지 영역을 넓히면서 관리해야 할 데이터와 외부 접점도 함께 늘고 있다”고 말했다. 이어 “결제 접점이 넓어질수록 투자 규모 자체보다 보안 조직과 인력이 늘어난 접점을 실제로 통제하고 있는지가 성과를 가늠하는 잣대가 될 것”이라고 전망했다.